Управление правами доступа к лог-группе

Если у вас еще нет интерфейса командной строки Yandex Cloud (CLI), установите и инициализируйте его.

По умолчанию используется каталог, указанный при создании профиля CLI. Чтобы изменить каталог по умолчанию, используйте команду yc config set folder-id <идентификатор_каталога>. Также для любой команды вы можете указать другой каталог с помощью параметров --folder-name или --folder-id.

Если вы обращаетесь к ресурсу по имени, поиск будет выполнен в каталоге по умолчанию. Если вы обращаетесь к ресурсу по идентификатору, поиск будет выполнен глобально — во всех каталогах с учетом прав доступа.

Чтобы посмотреть роли, назначенные на пользовательскую лог-группу, выполните команду:

yc logging group list-access-bindings --name=<имя_лог-группы>

Результат:

+---------+--------------+-----------------------+
| ROLE ID | SUBJECT TYPE |      SUBJECT ID       |
+---------+--------------+-----------------------+
| editor  | system       | allAuthenticatedUsers |
+---------+--------------+-----------------------+

Выполните команду, чтобы назначить роль на пользовательскую лог-группу:

yc logging group add-access-binding \
  --name <имя_лог-группы> \
  --role <роль> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

Где:

• --role — назначаемая роль.

• --subject — обозначение субъекта, которому назначается роль.

  Обозначения субъектов

  Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

  Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
  userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
  serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
  federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
  group	group:<идентификатор_группы>	--group-members
  system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
  	system:allUsers (группа All users)	—
  	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
  	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
  	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—

Выполните команду, чтобы отозвать роль на пользовательскую лог-группу:

yc logging group remove-access-binding \
  --name <имя_лог-группы> \
  --role <идентификатор_роли> \
  --subject <тип_субъекта>:<идентификатор_субъекта>

Где:

• --role — идентификатор роли, которую надо отозвать.

• --subject — обозначение субъекта, у которого отзывается роль.

  Обозначения субъектов

  Для обозначения субъекта используется параметр --subject со значением в формате <тип_субъекта>:<идентификатор>. Для некоторых типов субъектов в Yandex Cloud CLI вместо --subject доступны отдельные параметры, в которых достаточно указать имя или идентификатор субъекта без типа. Возможные обозначения субъектов и соответствующие параметры CLI:

  Тип субъекта	Обозначение субъекта	Параметр Yandex Cloud CLI
  userAccount	userAccount:<идентификатор_пользователя>	--user-account-id или --user-yandex-login
  serviceAccount	serviceAccount:<идентификатор_сервисного_аккаунта>	--service-account-id или --service-account-name
  federatedUser	federatedUser:<идентификатор_пользователя>	--user-account-id
  group	group:<идентификатор_группы>	--group-members
  system	system:allAuthenticatedUsers (группа All authenticated users)	--all-authenticated-users
  	system:allUsers (группа All users)	—
  	system:group:organization:<идентификатор_организации>:users (группа All users in organization X)	--organization-users
  	system:group:federation:<идентификатор_федерации>:users (группа All users in federation N)	--federation-users
  	system:group:userpool:<идентификатор_пула>:users (группа All users in userpool P)	—